事件经过
CWE-209。该SDK在故障情况下将认证凭据嵌入错误输出。CVSS 7.5，对CIA影响较高。
影响分析
该SDK是SAP AI服务的访问层。通过错误输出的凭据泄露是一种低工作量、基于日志的方式，攻击者可以获取令牌，从而访问企业AI/LLM能力。
攻击途径
特定故障条件下某些内部操作会生成错误消息，无意中包含敏感认证凭据。具有应用程序日志或转发错误输出访问权限的低权限攻击者可以恢复这些凭据。
受影响系统
SAP Cloud SDK for AI（JavaScript）<= v2.17.0
缓解措施
根据GitHub GHSA-8g7j-49xg-8wf3 / SAP安全补丁日，将SAP Cloud SDK for AI（Node.js）升级至v2.17.0以上。